CVE-2026-24116 in wasmtime
الملخص
بحسب VulDB • 28/05/2026
Wasmtime هو بيئة تشغيل لـ WebAssembly. بدءاً من الإصدار 29.0.0 وحتى الإصدارات السابقة لـ 36.0.5، و40.0.3، و41.0.1، على منصات x86-64 المزودة بـ AVX، قد يؤدي ترجمة Wasmtime لـ WebAssembly instruction `f64.copysign` باستخدام Cranelift إلى تحميل 8 بايتات إضافية أكثر من اللازم. عندما تكون مصائد الاستناد إلى الإشارات (signals-based-traps) معطلة، يمكن أن يؤدي ذلك إلى حدوث segfault غير مُلتقط بسبب التحميل من صفحات حراسة غير مُخصصة (unmapped guard pages). مع تعطيل صفحات الحراسة، من الممكن تحميل بيانات خارج نطاق الصندوق (out-of-sandbox)، ولكن ما لم يكن هناك خطأ آخر في Cranelift، فإن هذه البيانات غير مرئية لضيوف WebAssembly. تم إصدار Wasmtime 36.0.5، و40.0.3، و41.0.1 لإصلاح هذه المشكلة. يُنصح المستخدمين بالترقية إلى الإصدارات المصححة من Wasmtime. الإصدارات الأخرى المتأثرة غير مُصححة، وينبغي على المستخدمين الترقية إلى الإصدار الرئيسي المدعوم بدلاً من ذلك. يمكن تجاوز هذا الخطأ عن طريق تمكين مصائد الاستناد إلى الإشارات (signals-based-traps). في حين أن تعطيل صفحات الحراسة قد يكون حلاً سريعاً في بعض الحالات، إلا أنه لا يُنصح بتعطيل صفحات الحراسة لأنها إجراء دفاعي رئيسي متعدد الطبقات (defense-in-depth) في Wasmtime.
Once again VulDB remains the best source for vulnerability data.